File Manager Pro – Filester <= 1.8.8 - Authenticated (Administrator+) Arbitrary File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin File Manager Pro – Filester, que permite la carga arbitraria de archivos por usuarios autenticados con privilegios de administrador. Esta vulnerabilidad, con un CVSS de 7.2, fue publicada el 13 de junio de 2025.

Contexto técnico

El fallo se origina en la falta de validación adecuada de los archivos cargados, lo que permite a un atacante autorizado subir archivos maliciosos al servidor. La superficie de ataque está limitada a usuarios con privilegios de administrador, lo que implica que solo aquellos con acceso elevado pueden aprovechar esta vulnerabilidad.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de código malicioso en el servidor, comprometiendo la integridad y confidencialidad de los datos. Esto podría llevar a la pérdida de información sensible y a un daño significativo a la reputación de la organización.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante el acceso a la interfaz del plugin por parte de un administrador, quien puede subir archivos sin las restricciones adecuadas, lo que permite la inyección de código malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.8.9, donde se ha corregido el problema. Además, se sugiere implementar controles adicionales en la carga de archivos, como la validación del tipo de archivo y la limitación de los permisos de los usuarios.

Señales de detección

Se deben monitorizar los registros de acceso y las actividades de carga de archivos en el servidor, buscando patrones inusuales o intentos de carga de archivos que no correspondan a las actividades normales de los administradores.

Alcance afectado

Las versiones del plugin File Manager Pro – Filester hasta la 1.8.8 son vulnerables. Los sitios que utilizan estas versiones están en riesgo y deben ser evaluados.